AVG en klantgegevens: wat je als TikTok Shop-verkoper moet regelen

Zodra een bestelling binnenkomt, heb je de naam en het adres van een koper in handen. Vanaf dat moment ben jij volgens de AVG verantwoordelijk voor die gegevens, hoe klein je shop ook is. Dat klinkt zwaarder dan het is. De AVG vraagt van een kleine verkoper vooral gezond verstand: gebruik gegevens waarvoor je ze kreeg, bewaar niet meer dan nodig, beveilig wat je bewaart en weet wat je doet als het misgaat. Dit is de praktische versie.

Eerst een misverstand uit de weg. Veel verkopers denken: TikTok regelt de privacy, ik zie alleen wat ik nodig heb om te verzenden. Voor de app en het platform klopt dat. Maar de gegevens die jij in je Seller Center ziet en op een verzendlabel print, verwerk jij zelf. Daar ben jij voor verantwoordelijk, naast TikTok, niet in plaats van TikTok.

Welke rol heb je: verantwoordelijke of verwerker?

De AVG kent twee hoofdrollen (art. 4 AVG). De verwerkingsverantwoordelijke bepaalt waarom en hoe gegevens worden gebruikt. De verwerker doet dat in opdracht van een ander. Voor de klantgegevens uit je bestellingen ben jij verwerkingsverantwoordelijke: jij besluit dat je ze gebruikt om te leveren, jij kiest welke verzendsoftware ze door je handen laat gaan, jij bewaart ze in je administratie. TikTok is voor het platform zelf ook verantwoordelijke, voor zijn eigen doelen. Jullie staan dus naast elkaar, ieder voor het eigen deel.

Waarom is dat belangrijk? Omdat je als verantwoordelijke een paar plichten hebt die je niet bij TikTok kunt laten liggen: een grondslag, een bewaartermijn, beveiliging, afspraken met wie jij gegevens laat verwerken, en de meldplicht bij een datalek. Die lopen we één voor één langs.

Wat mag je met de gegevens doen?

Elke verwerking heeft een grondslag nodig (art. 6 AVG). Voor een verkoper is dat overzichtelijk:

• Leveren wat is besteld valt onder uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG). Adres op het label, naam op de pakbon, een bericht dat de bestelling onderweg is: allemaal prima.
• Bewaren voor de Belastingdienst valt onder een wettelijke verplichting (art. 6 lid 1 onder c AVG). Je administratie, inclusief de klantgegevens op je facturen en verkoopoverzichten, bewaar je zeven jaar. Hoe je die administratie inricht, staat in boekhouding en btw-administratie voor verkopers.
• Klachten en garantie afhandelen valt onder de overeenkomst of onder je gerechtvaardigd belang (art. 6 lid 1 onder f AVG).

Wat er níét onder valt: kopers uit TikTok Shop benaderen voor marketing buiten het platform. Los van de AVG-vraag of je daar een grondslag voor zou hebben, verbiedt het platformbeleid het gebruik van kopersgegevens voor iets anders dan de orderafhandeling. Een nieuwsbrief sturen naar je TikTok-kopers, hun adressen in een advertentiedoelgroep laden of ze een WhatsApp-bericht sturen met een aanbieding: dat is twee keer fout. Hoe je wél een eigen klantenbestand opbouwt zonder de regels te breken, lees je in klanten buiten TikTok Shop om: wat mag.

Hoe lang bewaar je klantgegevens?

Niet langer dan nodig (art. 5 lid 1 onder e AVG). Voor een verkoper vallen de gegevens in twee groepen:

• Wat bij je administratie hoort, zoals de naam en het adres op een factuur of verkoopoverzicht: zeven jaar, want dat eist de fiscale bewaarplicht (art. 52 Algemene wet inzake rijksbelastingen).
• Wat alleen voor de verzending diende, zoals losse labelbestanden, exports uit je verzendsoftware, telefoonnummers en foto's van pakketten met adres: weg zodra de bestelling is afgerond en de retourtermijn en een redelijke klachttermijn voorbij zijn. Een half jaar na levering heb je ze zelden nog nodig.

Maak daar een simpele routine van. Eén keer per kwartaal de downloads-map en de exports opruimen, oude labelbestanden weggooien, en in je verzendsoftware kijken of je oude zendingen automatisch kunt laten verwijderen. Het kost een kwartier en het is precies het soort maatregel dat de Autoriteit Persoonsgegevens (AP) verwacht.

Met wie deel je gegevens, en wat leg je vast?

Een verkoper deelt klantgegevens met meer partijen dan hij denkt. De vraag is per partij: verwerkt die voor jou, of voor zichzelf?

• Verzendsoftware als Sendcloud of MyParcel verwerkt de adresgegevens in jouw opdracht. Dat is een verwerker, en met een verwerker heb je een verwerkersovereenkomst nodig (art. 28 AVG). Goed nieuws: de meeste van deze aanbieders hebben die standaard in hun voorwaarden zitten; controleer dat bij het aanmelden. Welke verzendsoftware voor een kleine verkoper loont, lees je in verzendlabels goedkoper via Sendcloud of MyParcel.
• De vervoerder (PostNL, DHL, DPD) verwerkt het adres om het pakket te bezorgen en heeft daar een eigen verantwoordelijkheid voor; daar hoef je geen verwerkersovereenkomst mee te sluiten.
• Je boekhoudpakket en een eventuele boekhouder: verwerker, dus ook hier een verwerkersovereenkomst. Bij een boekhouder zit die vaak in de opdrachtbevestiging.
• Een fulfilmentpartij of inpakhulp die jouw labels print: verwerker. Ook een familielid dat helpt met inpakken ziet klantgegevens; maak duidelijk dat die nergens anders heen gaan.

Dan het verwerkingsregister (art. 30 AVG). De uitzondering voor kleine bedrijven geldt niet als je structureel persoonsgegevens verwerkt, en een webshop die dagelijks bestellingen ontvangt doet precies dat. Maak dus een register. Voor een kleine verkoper is dat één tabel: welke gegevens (naam, adres, telefoonnummer, bestelhistorie), waarom (leveren, administratie, klachten), wie er bij kan (jij, je verzendsoftware, je boekhouder), hoe lang je ze bewaart en hoe ze zijn beveiligd. Een A4'tje, één keer opstellen en jaarlijks even nalopen.

Beveiligen: de fouten die kleine verkopers echt maken

De AVG eist passende beveiliging (art. 32 AVG). Voor een kleine verkoper gaat het niet om dure systemen, maar om het voorkomen van een paar veelgemaakte fouten:

• Adressen in beeld in je content. Een inpakvideo waarin je een stapel labels laat zien, een livestream waarin je pakketten inpakt: als de naam en het adres leesbaar zijn, publiceer je persoonsgegevens. Plak labels na de opname, film van een afstand of blur het. Dit is de meest voorkomende AVG-fout onder verkopers, en de makkelijkst te voorkomen.
• Gedeelde accounts en zwakke wachtwoorden. Zet tweestapsverificatie aan op je Seller Center, je verzendsoftware en je e-mail. Deel je inlog niet via een appje.
• Labels en pakbonnen in het oud papier. Een verkeerd geprint label of een pakbon van een retour is een persoonsgegeven op papier. Versnipperen, of in elk geval niet leesbaar bij het oud papier zetten.
• Exports op een laptop zonder versleuteling. Een gestolen laptop met een orderexport erop is een datalek. Zet schijfversleuteling aan; op de meeste laptops is dat één schuifje.

Wil je je inpakwerk toch filmen voor content, richt je proces dan zo in dat labels het laatste zijn wat erop gaat. Hoe je dat handig organiseert, staat in je inpakproces optimaliseren.

Datalek: wat doe je als het misgaat?

Een datalek is elke situatie waarin persoonsgegevens verloren gaan of bij iemand terechtkomen die ze niet mag hebben. Een pakket naar het verkeerde adres met de pakbon van een andere klant erin. Een orderexport per ongeluk gemaild naar een leverancier. Een gehackt e-mailaccount. Een verzendlabel zichtbaar in een video die al duizend keer is bekeken.

De regel: een datalek meld je binnen 72 uur bij de AP (art. 33 AVG), tenzij het onwaarschijnlijk is dat er een risico is voor de betrokkenen. Is het risico voor de klant hoog, dan informeer je ook de klant zelf (art. 34 AVG). Bij één verkeerd bezorgde pakbon met naam en adres is het risico meestal laag; dan hoef je niet te melden, maar leg je het wel intern vast. Bij een gelekte export met honderden adressen en telefoonnummers meld je wél. Twijfel je, dan biedt de website van de AP een hulpmiddel om dat te bepalen. Houd hoe dan ook een kort logboek bij van wat er gebeurde en wat je hebt gedaan; dat is verplicht (art. 33 lid 5 AVG) en het is je bewijs dat je serieus met gegevens omgaat.

Moet je een privacyverklaring hebben?

Als verwerkingsverantwoordelijke moet je klanten laten weten wat je met hun gegevens doet (art. 13 AVG). Op het platform zelf krijgen kopers het privacybeleid van TikTok, maar dat gaat over TikTok, niet over jou. Een korte eigen privacyverklaring is daarom verstandig, zeker als je ook een eigen website, nieuwsbrief of klantenservice per e-mail hebt. Wat erin staat: wie je bent, welke gegevens je verwerkt, waarvoor, hoe lang, met wie je ze deelt en hoe een klant inzage of verwijdering kan vragen. Die verzoeken om inzage (art. 15 AVG) en verwijdering (art. 17 AVG) moet je binnen een maand afhandelen; met een klein register en een opgeruimde administratie is dat een kwestie van minuten.

Tot slot: dit hoort bij dezelfde nette administratie die je ook voor de Belastingdienst voert. Platforms delen sinds DAC7 je verkoopgegevens al met de fiscus; wie zijn eigen gegevenshuishouding op orde heeft, staat op beide fronten sterker. Meer daarover in DAC7 en de Belastingdienst.

In het kort

• Jij bent verwerkingsverantwoordelijke voor de klantgegevens uit je bestellingen (art. 4 AVG), naast TikTok en niet in plaats van TikTok.
• Gebruik gegevens alleen om te leveren en te administreren (art. 5 en 6 AVG); marketing naar TikTok-kopers buiten het platform is zowel een AVG- als een platformprobleem.
• Bewaar wat bij je administratie hoort zeven jaar (art. 52 AWR), gooi losse labels, exports en foto's weg zodra ze niet meer nodig zijn.
• Verwerkersovereenkomst (art. 28 AVG) met verzendsoftware, boekhoudpakket en fulfilmentpartij; die zit meestal al in hun voorwaarden.
• Maak een verwerkingsregister van één A4 (art. 30 AVG) en beveilig praktisch: geen labels in beeld, tweestapsverificatie, versnipperen, schijfversleuteling.
• Datalek met risico voor klanten meld je binnen 72 uur bij de AP (art. 33 AVG); leg elk incident vast in een logboek.

Veelgestelde vragen over de AVG voor TikTok Shop-verkopers

Geldt de AVG voor een kleine TikTok Shop-verkoper?

Ja. De AVG geldt voor iedereen die bedrijfsmatig persoonsgegevens verwerkt, ongeacht de omvang. Zodra je de naam en het adres van een koper gebruikt om een pakket te versturen, verwerk je persoonsgegevens en ben je daarvoor verwerkingsverantwoordelijke (art. 4 AVG). Dat je de gegevens via TikTok Shop ontvangt, verandert daar niets aan: TikTok is verantwoordelijk voor het platform, jij voor wat je zelf met de gegevens doet. De verplichtingen zijn voor een kleine verkoper wel overzichtelijk: grondslag, bewaartermijn, beveiliging, verwerkersovereenkomsten en een meldplicht bij datalekken.

Mag ik mijn TikTok Shop-klanten een nieuwsbrief sturen?

Nee, niet met de gegevens die je via je bestellingen hebt gekregen. Je ontving die gegevens om te leveren; gebruik voor marketing valt niet onder dat doel (art. 5 lid 1 onder b AVG) en het platformbeleid van TikTok Shop verbiedt het gebruik van kopersgegevens buiten de orderafhandeling. Daarbovenop eist de Telecommunicatiewet voor e-mailmarketing in de regel toestemming. Wil je een eigen klantenbestand opbouwen, laat klanten zich dan zelf aanmelden via je eigen website of een verwijzing op een plek die het platform toestaat.

Hoe lang mag ik klantgegevens bewaren?

Niet langer dan nodig voor het doel (art. 5 lid 1 onder e AVG). Gegevens die deel uitmaken van je administratie, zoals naam en adres op facturen en verkoopoverzichten, bewaar je zeven jaar omdat de fiscale bewaarplicht dat eist (art. 52 AWR). Gegevens die alleen voor de verzending dienden, zoals losse labelbestanden, telefoonnummers en exports uit verzendsoftware, gooi je weg zodra de bestelling, de retourtermijn en een redelijke klachttermijn voorbij zijn. Maak er een vaste kwartaalroutine van.

Heb ik een verwerkersovereenkomst nodig met Sendcloud of MyParcel?

Ja. Verzendsoftware verwerkt adresgegevens in jouw opdracht en is daarmee een verwerker; de AVG eist dan een verwerkersovereenkomst (art. 28 AVG). De meeste aanbieders hebben die standaard opgenomen in hun algemene voorwaarden of als apart document dat je bij aanmelding accepteert; controleer dat en bewaar het. Hetzelfde geldt voor je boekhoudpakket, je boekhouder en een fulfilmentpartij. Met de vervoerder zelf, zoals PostNL of DHL, hoef je geen verwerkersovereenkomst te sluiten: die bezorgt onder eigen verantwoordelijkheid.

Is een verzendlabel in een video een datalek?

Als de naam en het adres van een klant leesbaar in beeld zijn, publiceer je persoonsgegevens zonder grondslag, en ja, dat is een datalek. Of je het moet melden bij de Autoriteit Persoonsgegevens hangt af van het risico voor de betrokkene (art. 33 AVG): één label dat kort in beeld was, is meestal laag risico en leg je alleen intern vast; een video met tientallen leesbare labels die breed is bekeken, meld je binnen 72 uur. Haal de video in elk geval meteen offline of blur het label. Voorkomen is simpel: plak labels pas na de opname.